O padrão que já funcionou
A exposição histórica do OpenWebUI no host Windows usava Tailscale Serve em modo tailnet-only. A URL MagicDNS HTTPS na raiz encaminhava para 127.0.0.1:3000. A porta direta existia apenas como diagnóstico; o Funnel público não fazia parte da arquitetura.
O OpenWebUI do Killian
A exposição do Killian continua respondendo em https://rabelus-dad.tail629206.ts.net/. A checagem atual confirmou certificado MagicDNS, HTTP 200, OpenWebUI 0.11.0 e health saudável. A porta Tailscale direta :3000 não responde, o que deixa clara a função do Serve como camada HTTPS.
A nova porta da Casa Full-Linux
O OpenWebUI Full-Linux está saudável localmente e pronto para receber o mesmo padrão em https://argenta-fenix.tail629206.ts.net/. A primeira tentativa de publicação foi corretamente barrada pelo controle root do cliente Tailscale. Nenhuma porta foi ampliada e nenhum Funnel foi criado por acidente.
O último passo é operacional: conceder ao usuário local o papel de operador do Tailscale e ativar o Serve. Depois disso, o celular precisa estar conectado à mesma tailnet; a URL HTTPS poderá ser aberta diretamente ou instalada como aplicativo.
Expor para o mobile não é tornar público. É fazer a mesma interface atravessar uma fronteira privada, autenticada e verificável.